衍生物Help.chm

显示全部楼层 · 发表于 2023-4-24 06:53:16

From https://bbs.kafan.cn/thread-2255100-1-1.html
原本以为也是ShellCode，现在看来不简单

显示全部楼层 · 发表于 2023-4-24 08:08:43

毒霸扫描miss

显示全部楼层 · 发表于 2023-4-24 08:33:31

诺顿、FS扫描安全

显示全部楼层 · 发表于 2023-4-24 08:58:33

显示全部楼层 · 发表于 2023-4-24 10:31:04

类型:木马-Generic/Trojan.Generic.HicATA8A
描述:木马是一种伪装成正常文件的恶意软件，会盗取您的帐号、密码等隐私资料。
扫描引擎:云安全引擎
文件路径:D:\360安全浏览器下载\Help\Help.chm
文件大小:26.8K (27,483 字节)
文件指纹（MD5）:a5e3071a65540e9d7daaa602a945269a
数字签名:
数字签名是否有效:无效
处理建议:隔离文件
下载防护安全

显示全部楼层 · 发表于 2023-4-24 10:39:33

显示全部楼层 · 发表于 2023-4-24 11:02:32

本帖最后由 GreatMOLA 于 2023-4-24 11:09 编辑

已上报NLL

卡巴KSN已拉黑
事件: 进程已终止
应用程序: Microsoft® HTML Help Executable
用户: DESKTOP-MQAK8V0\TEST-PC02
用户类型: 活动用户
组件: 系统监控
结果说明: 已终止
类型: 木马
名称: PDM:Trojan.Win32.Bazon.a
威胁级别: 高
对象类型: 进程
对象路径: C:\Windows
对象名称: hh.exe

显示全部楼层 · 发表于 2023-4-24 12:47:43

BEST

高级威胁防护阻止了一个恶意进程。进程路径: C:\Windows\hh.exe. 威胁名称: ATC.SuspiciousBehavior.9FBBD73707CADD86.

复制代码

显示全部楼层 · 发表于 2023-4-24 13:08:01

火绒
扫描：寄

双击：修改用户环境默认路径添加自启动（似乎就添加了个自启动？没有发现衍生物

显示全部楼层 · 发表于 2023-4-24 14:36:26

天守kill

[病毒样本] 衍生物Help.chm

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源